Frage zu verschiedene Arten von Broadcasts

[Eleu]

Ich hätte mal eine Frage zu den verschiedenen Arten von Broadcasts

Broadcast ? Wikipedia

Und zwar gibt es ja den ARP Request auf Layer 2 Ebene der an alle Teilnehmer

im Subnetz gesendet wird, damit zwei Teilnehmer für die Kommunikation zueinander finden können.

Die MAC - Adresse lautet hierfür FF:FF:FF:FF:FF:FF

Derjenige Teilnehmer der die Ziel IP hat,

sendet seine MAC zurück damit eine 1 zu 1 Beziehung entsteht.

gehört die Ziel IP nicht zum eigenen Subnetz sendet der PC, falls vorhanden, an die Gatewayadresse.

Der Router verändert den Frame und trägt seine eigene MAC ein und macht den ARP Request

an alle im möglicherweise bekannten nächsten Subnetz usw..

Soweit so gut (Bitte korrigiert mich, wenn ich falsch liege)

Jetzt gibt es aber auch die IP Broadcasts.

Und zwar Limited Broadcast (Bleibt nach meinem Verständnis auf das Subnetz beschränkt

und geht über die errechnete Broadcast Adresse des Subnetzes)

Und es gibt Directed Broadcast

(Funktioniert über Routergrenzen hinweg auch an andere Subnetze)

Kann mir jemand erklären wann man Limited Broadcast und wann

man Directed Broadcast gebraucht

(Vielleicht an einem ein Anwendungsfall)

Eigentlich geht das doch schon alles mit dem ARP Request auf Layer 2 ?

Gruß

Eleu

[Eleu]

Hallo,

ich glaube ich habe eine gute Erklärung gefunden,

wofür IP Broadcasts überhaupt benötigt werden:

SELFHTML Forumsarchiv / 2007 / Februar / Broadcast

[netzwerker]

Hier Broadcast ? Wikipedia ist es auch gut erklärt.

Mirko

[Eleu]

Hallo Mirko,

danke für den Hinweis.

Ich kannte den WIkipedia Beitrag schon, hatte ihn aber nicht verstanden.

Was den MAC Broadcast über ARP angeht war mir das schon klar.

Meine Vermutung war, dass das irgendwie miteinander zu tun haben könnte.

Sind, aber wie sich jetzt herausgestellt hat, zwei verschiedene paar Schuhe.

Mir war nicht klar, wer oder was, überhaupt IP - Broadcasts sendet ?

Und vor allen Dingen wozu und wann.

Ein paar Beispiele sind in dem Link aufgeführt den ich gefunden habe.

Gruß

Eleu

[VaNaTiC]

Limited Broadcasts kenn ich z.Bsp. mit UDP um andere Netzteilnehmern zu finden und dann direkte Verbindungen aufzubauen oder Status-Infos an "Alle" zu senden. Ich hab das zum Beispiel für meinen alten LAN-Chat so gemacht.

Directed Broadcasts werden heutzutage aber aus Sicherheitsgrünen oft nicht mehr geroutet. D.h. sie werden nur im eigenen Subnetz verarbeitet und nicht mehr durchgeroutet.

Ein Beispiel dafür ist das Windows Netzwerk, das hat einen Browsing-Dienst (über UDP directed Broadcasts), wenn man keinen WINS-Server eingestellt hat. Und einen TCP-Verbindungsdienst zum tatsächlichen Austausch zwischen den entweder gefundenen Teilnehmern oder beim direkten Eintippen von \\IP-Adresse\...

Heute wird dafür aber oft IGMP/Multicast anstelle von IP-Broadcasts verwendet.

Mit den MAC-Broadcasts hat das meiner Meinung nach nix zu tun.

Router ersetzen keine MAC-Adressen und senden Ethernet-Frames weiter. Das wäre eine Bridge. Und zwar merkt sich hier die Bridge, wie beim Layer2-Switch welche MACs "lokal" sind. Wenn es an eine andere MAC gehen soll, wirds an das externe Interface weitergegeben. Aber soweit ich weiss sind MAC-Broadcasts über die Bridge per Default-Einstellung meistens deaktiviert.

Bearbeitet 20. Januar 2010 von VaNaTiC

[Eleu]

Router ersetzen keine MAC-Adressen und senden Ethernet-Frames weiter.

Diese Aussage irritiert mich ein wenig.

Ist es denn nicht so, dass ein Router bei einem ankommenden Frame

die Ziel und Quell IP im Frame unverändert läßt, jedoch im Frame dann seine eigene MAC Adresse

gegen die MAC Adresse des eigentlichen Sender austauscht und dann dieses "neue" Frame

an den ihm bekannten nächsten Router weiterleitet (routet).

Oder falls der Router das an ihm angeschlossene Subnetz kennt, dort einen ARP Request

ausführt, um bei sich über das ARP Reply die Ziel MAC eintragen zu können.

Gruß

Eleu

[VaNaTiC]

EDIT: Ich muss jetzt mal nachgucken

Bearbeitet 20. Januar 2010 von VaNaTiC

[VaNaTiC]

Du hast absolut recht. Da war ich auf dem Holzweg. :upps

[netzwerker]

Aber soweit ich weiss sind MAC-Broadcasts über die Bridge per Default-Einstellung meistens deaktiviert.

Brücken und Switche forwarden MAC-Broadcasts. Ansonsten wäre ein Verbindungsaufbau auf dem Layer 2 nicht möglich, da eine Station ja in der Regel die MAC-Adresse des Partners nicht kennt.

Mirko

[Gnork]

Diese Aussage irritiert mich ein wenig.

Ist es denn nicht so, dass ein Router bei einem ankommenden Frame

die Ziel und Quell IP im Frame unverändert läßt, jedoch im Frame dann seine eigene MAC Adresse

gegen die MAC Adresse des eigentlichen Sender austauscht und dann dieses "neue" Frame

an den ihm bekannten nächsten Router weiterleitet (routet).

Oder falls der Router das an ihm angeschlossene Subnetz kennt, dort einen ARP Request

ausführt, um bei sich über das ARP Reply die Ziel MAC eintragen zu können.

Gruß

Eleu

Natürlich. Würde der Router IP Adressesn des Paketes ändern, würde schließlich keiner mehr wissen, wer Sender bzw. Empfänger ist. Nur weil ein Router ein Layer 3 Gerät ist, heißt das ja nicht, dass er die Schichten daruntern nicht benutzt. Die IP Adressen werdenbenutzt um ins entsprechende Netz zu kommen, ab dort führt dann die MAC-Addresse zum Empfänger.

[Eleu]

Ich hätte noch mal ne Frage zu den Broadcasts.

Und zwar habe ich mir bei Wiki. den Beitrag "Broadcaststorm" durchgelesen.

Broadcast-Sturm ? Wikipedia

Ein schreckliches Szenario.:eek

Meine Frage wäre, wenn so ein Broadcaststurm durch eine defekte Netzwerkkarte im Rechner ausgelöst wird,

wie würde man bei der Fehlersuche vorgehen ?

Hat das schon mal jemand gehabt ?

Passiert so was häufig ?

Gruß

Eleu

[Gnork]

Meine Frage wäre, wenn so ein Broadcaststurm durch eine defekte Netzwerkkarte im Rechner ausgelöst wird,

wie würde man bei der Fehlersuche vorgehen ?

Die Frage an sich ist ja Quatsch, denn man weiß bei einem Auftreten eines Broadcast-Storms ja nicht gleich, wodurch dieser ausgelöst wird. Im Grunde weiß man noch nichtmal etwas von einem Broadcast-Storm. Das, was man erstmal erkennt, sind die Symptome und an dem Punkt fängt man dann mit der Fehlersuche an!

Die Wahrscheinlichkeit, dass ein Broadcast-Storm von einer defekten Netzwerkkarte ausgelöst wird, halte ich für ziemlich gering. Da ist es wahrscheinlicher, dass es sich dabei um einen Angriff oder ein schlecht konfiguriertes Netzwerk handelt.

Normalerweise treten Broadcast-Storms bei redundanten Anbindungen auf, deshalb sollte dort auch das Spanning Tree Protocol verwendet werden.

[Eleu]

Die Frage an sich ist ja Quatsch, denn man weiß bei einem Auftreten eines Broadcast-Storms ja nicht gleich, wodurch dieser ausgelöst wird. Im Grunde weiß man noch nichtmal etwas von einem Broadcast-Storm. Das, was man erstmal erkennt, sind die Symptome und an dem Punkt fängt man dann mit der Fehlersuche an!

Das ich die Frage so stelle liegt daran, dass ich über keinerlei Praxiserfahrung

bzgl. Netzwerktechnologie im Bereich der Office Welt verfüge.

Ich habe da nur theoretische Kenntnisse.

Demnach hätte die Frage lauten müssen, wie suche ich den Fehler,

wenn mein Netzwerk zu langsam ist ?

Aber das kann ja, nachdem was ich bisher so gelernt habe

viele Ursachen haben.

Zum Beispiel eine Überlastung aufgrund fehlender Performance.

Das Spanning Tree Protokoll als solches bei einer Neuberechnung des Netzes,

hervorgerufen durch eine schlechte Verkabelung.

Gesteckte Loops an billigen Switchen die kein SPT können.

Eben ein Broadcaststurm durch einen Angriff oder loop.

In größeren Netzen, mit vielen hosts kann das ja zur Suche nach einer

Stecknadel im Heuhaufen werden.

Gruß

Eleu

[Gnork]

Das ich die Frage so stelle liegt daran, dass ich über keinerlei Praxiserfahrung

bzgl. Netzwerktechnologie im Bereich der Office Welt verfüge.

Ich habe da nur theoretische Kenntnisse.

Demnach hätte die Frage lauten müssen, wie suche ich den Fehler,

wenn mein Netzwerk zu langsam ist ?

Aber das kann ja, nachdem was ich bisher so gelernt habe

viele Ursachen haben.

Zum Beispiel eine Überlastung aufgrund fehlender Performance.

Das Spanning Tree Protokoll als solches bei einer Neuberechnung des Netzes,

hervorgerufen durch eine schlechte Verkabelung.

Gesteckte Loops an billigen Switchen die kein SPT können.

Eben ein Broadcaststurm durch einen Angriff oder loop.

In größeren Netzen, mit vielen hosts kann das ja zur Suche nach einer

Stecknadel im Heuhaufen werden.

Gruß

Eleu

Also mit schlechter Verkabelung hat das weniger zu tun, bei reduntanter Anbindung ist die "doppelte" Verkabelung, die Loops erzeugen würde ja z.B. gewollt.

Und das mit der Stecknadel im Heuhaufen ist so auch nicht ganz richtig. Die Stecknadel kann sich überall befinden. In unserem Netzwerk können wir unser Problem aber immer weiter auf kleinere Bereiche einschränken, so kommt man dann zum Ziel.

In einem heutigen, vernünftig aufgebauten (Firmen-)Netzwerk sollte sowas jedenfalls nicht mehr vorkommen, da es viele geeignete Gegenmittel (STP, VLANs, Router, IPS), die meist auch zusammen eingesetzt werden (nicht nur wegen diesem Problem hier), gibt.

[netzwerker]

Das vorgehen hängt auch sehr von der Größe des Netzes ab. In einem kleinen Netz mit "dummen" Switches wird man einfach nach und nach alle Kabel ziehen.

In einem großen Netz legt ein Broadcaster der "nur" mit 100 MBit/s sendet nicht gleich die großen Switche lahm. Da lässt sich der Port dann ganz gut identifizieren.

Defekte Netzwerkkarten habe ich schon einige gesehen. Diese broadcasten gerne DHCP oder DNS mit hoher Bandbreite bei aktivierten PXE.

In aktuellen Designs hat man ja recht kleine VLANs. Dadurch lassen sich die Auswirkungen der Broadcast ganz gut begrenzen.

Mirko

[Eleu]

Also mit schlechter Verkabelung hat das weniger zu tun, bei reduntanter Anbindung ist die "doppelte" Verkabelung, die Loops erzeugen würde ja z.B. gewollt.

Hatte es eigentlich so gemeint, dass der aktive Spannbaum unterbrochen wird

(Z.B.: Wackelkontakt) und dadurch eine Neuberechnung erfolgt.

Diese Neuberechnung unterbricht meines Wissens die gesamte Kommunikation für ca. 30Sek. im Subnetz, falls kein RSTP genutzt wird.

In gut konfigurierten und strukturierten Netzen,

ist das ja wahrscheinlich auch kein Thema.

Ich kann mir auch aufgrund meiner unzureichenden

Praxiskenntnisse dahingehend sowieso kein Werturteil erlauben.

Vielen Danke für die Infos.

Gruß

Eleu

[Gnork]

Hatte es eigentlich so gemeint, dass der aktive Spannbaum unterbrochen wird

(Z.B.: Wackelkontakt) und dadurch eine Neuberechnung erfolgt.

Diese Neuberechnung unterbricht meines Wissens die gesamte Kommunikation für ca. 30Sek. im Subnetz, falls kein RSTP genutzt wird.

Was uns wieder darauf bringt, dass man doch auch leicht einen Angriff auf dieser Tatsache aufbauen könnte...

Aber wir haben ja BPDU-Guard, Port-Fast etc. die uns da ein wenig helfen.

Die 30 Sekunden mit dem klassischen STP sind so weit auch richtig, dieses ist allerdings auch schon ziemlich betagt.

[Eleu]

Würde das Spanning Tree Protocol bei der kurzen Wiederherstellung

der alten Verbindung durch den Wackelkontakt,

den Spannbaum aufgrund der günstigeren Pfadkosten wieder neu berechnen,

oder bleibt es dann bei der neuen Verbindung ?

Andernfalls würde es ja bei einem Wackelkontakt ständig hin und her gehen ?

[Gnork]

Würde das Spanning Tree Protocol bei der kurzen Wiederherstellung

der alten Verbindung durch den Wackelkontakt,

den Spannbaum aufgrund der günstigeren Pfadkosten wieder neu berechnen,

oder bleibt es dann bei der neuen Verbindung ?

Andernfalls würde es ja bei einem Wackelkontakt ständig hin und her gehen ?

Spanning Tree hat nichts mit Wackeltkontakten zu tun, ich glaube wir schweifen hier ein wenig vom Thema ab. Natürlich würde im Normalfall erstmal eine Neuberechnung stattfinden wenn eine Verbindung da ist, bzw. eine Verbindung abgebrochen ist.

So einen "klassischen Wackelkontakt" im Sinne von "Ein-Aus-Ein-Aus-Ein-Aus" habe ich bis jetzt noch nicht erlebt, entweder das Kabel ist ok und steckt richtig und die Verbindung ist da, oder das Kabel ist defekt / steckt nicht richtig im Port und es gibt keine Verbindung.

HIER mal ein kleiner (englischer) Artikel über das STP.